Datatilsynet har offentliggjort otte prioriterede tilsynstemaer for 2025, som alle dataansvarlige og databehandlere bør forholde sig til nu: beskyttelse af børn (bl.a. skolefotos), digital tracking via apps og loyalitetsprogrammer, håndtering af sletningsanmodninger, adgangsstyring til Det Fælles Medicinkort (FMK), brug af generativ AI – særligt i sundhedssektoren – retshåndhævelsesloven, behandling i fælleseuropæiske informationssystemer samt forsøg med fælles tilsyn med Finanstilsynet. Fokus peger på profilering, dokumentation og teknisk adgangskontrol på tværs af sektorer.

Overordnede krav og håndhævelsesrisiko

Tilsynsaktiviteten vil især teste, om organisationer har et gyldigt behandlingsgrundlag efter GDPR art. 6 og 9, om profilering håndteres i overensstemmelse med art. 22, og om anmodninger om sletning efter art. 17 behandles rettidigt og dokumenteret. Datatilsynet forventes at efterspørge opdaterede fortegnelser, risikovurderinger og effektive procedurer, der kan fremvises under et tilsyn.

Praksis understreger betydningen af tekniske og organisatoriske foranstaltninger som adgangsstyring, logning og funktionsadskillelse. Mangelfuld kontrol – eksempelvis deling af personlige logins – kan udløse håndhævelse. Tilsynet har tidligere indstillet sundhedsaktører til bøde for brud på adgangskontrol, jf. Datatilsynets sag mod Capio A/S, se afgørelsen på datatilsynet.dk.

Derudover vil tilsyn typisk kontrollere, om hjemmelvurderinger er dokumenteret, om opbevaringsfrister er fastsat og efterlevet, og om medarbejdere er trænet i processer for indsigts- og sletningsanmodninger. Mangler på disse områder vægter ofte tungt i afgørelser.

Børn, apps og FMK

Skoler, dagtilbud og andre uddannelsesinstitutioner skal afklare rollefordeling mellem dataansvarlig og databehandler ved skolefotos og sikre klare politikker for opbevaring og sletning. Børn anses som særligt beskyttede registrerede, hvilket skærper kravene til information, samtykkegrundlag hvor relevant og proportionalitet i behandlingen.

Private og offentlige aktører, der driver apps med belønninger, tilbud eller point baseret på købs- og adfærdsdata, skal sikre lovlig profilering, gennemsigtighed og passende hjemmel. EDPB’s vejledning giver nyttig fortolkning og eksempler, se EDPB’s retningslinjer om profilering.

I sundhedssektoren fremhæves adgangsstyring til FMK. Adgange er personlige og må ikke deles internt, og klinikker skal kunne dokumentere autorisationsstyring, logning og kontrol af afvigelser. Kravene gælder uanset om systemadgang håndteres af praksis, driftsleverandør eller it-leverandør.

Myndighedsanvendelse og EU-samarbejde

Efter retshåndhævelsesloven vil Datatilsynet føre tilsyn med politiets og andre myndigheders brug af biometriske teknologier som ansigtsgenkendelse og AI. Fokus bliver bl.a. nødvendighed, proportionalitet, dataminimering og robust audit af algoritmiske værktøjer.

Danske myndigheders behandling i SIS, VIS og EURODAC får ligeledes øget opmærksomhed. Myndigheder bør som minimum have gennemført risikovurderinger, opdateret fortegnelser og afsat klare ansvarsplaceringer på tværs af systemintegrationer, så databeskyttelsesprincipperne kan efterleves og påvises.

Finanssektoren og praktiske næste skridt

Et muligt fælles tilsyn mellem Datatilsynet og Finanstilsynet skal afprøve koordination på områder med overlappende regler. Pengeinstitutter, betalings- og forsikringsvirksomheder bør forvente mere sammenhængende, men også mere gennemgribende, kontroller af governance og dokumentation.

For at stå stærkt ved et tilsyn kan følgende tiltag prioriteres nu:

• Opdater behandlingsgrundlag, art. 30-fortegnelser og interne politikker for sletning og opbevaring.
• Etabler og test adgangsstyring, stærk autentifikation og logreview – særligt ved FMK og andre følsomme systemer.
• Gennemfør DPIA og risikovurderinger for AI, profilering og app-tracking, og dokumentér afbødende foranstaltninger.
• Afklar roller og indgå databehandleraftaler med klare instrukser, tilsynsret og sikkerhedskrav.
• Sørg for gennemsigtig information til registrerede og effektive processer for sletning og indsigtsanmodninger.